api接口安全漏洞检测测试过程

时间：2020-03-26

某一客户的网站,以及APP系统数据被篡改,金额被提现,导致损失惨重,漏洞无从下手,经过朋友介绍找到我们SINE安全公司,我们随即对客户的网站服务器情况进行大体了解.建议客户做渗透测试服务.模拟攻击者的手法对网站存在的数据篡改漏洞进行检测与挖掘,就此渗透测试服务的过程进行记录与分享.

首先客户网站和APP的开发语言都是使用的PHP架构开发,后端使用的thinkphp开源系统,对会员进行管理以及资料的统计,包括充值,提现,下单功能.服务器使用是linux系统.共有3个接口,分别是WEB前端,接口,后台,都采用的是action的方法来调用,并初始化数据.我们看下代码

不同入口传入过来的值,并进一步的操作都不一样,我们SINE安全技术在get,post,cookies的请求方式中,发现一个规律,在查看代码中发现都是使用的get()的方式来对传入过来的值进行安**验与拦截.对一些特殊符号包括<> 都进行了安全转义,不会直接输入到后端中去.基本上的一些漏洞,XSS,SQL注入漏洞是不会很*的找到.我们继续对代码进行分析与渗透测试,对漏洞多次的测试,终于找到一处存在SQL注入漏洞的代码,存在于网站的会员头像上传功能.

我们抓取上传的数据包,并进行修改,将恶意的SQL注入代码写入到数据包中,将头像的图片内容进行修改提交过去,发现服务器返回错误,原因是对图片的内容进行了解析操作,并将上传的路径地址写入到了数据库,而这个写入数据库的图片路径地址,并没有做详细的变量安全过滤,导致SQL注入的发生,由此可见,攻击者可以查询数据库里的管理员账号密码,并登陆到系统后台进行提权.平台的后台目录地址很*遭到破解,后台名字写的竟然是houtai2019,很*让攻击者猜解到,使用SQL注入漏洞获取到的管理员账号密码.登陆后台,上传webshell,查到数据库的账户密码,进行连接,修改数据库.

在对后台的渗透测试发现,后台也存在同样的任意文件上传漏洞,upload值并没有对文件的格式,做安**验与过滤,导致可以构造恶意的图片代码,将save格式改为php,提交POST数据**去,直接在网站的目录下生成.php文件.对此我们SINE安全将渗透测试过程中发现的漏洞都进行了修复.

可能有些人会问了,那该如何修复渗透测试中发现的网站漏洞?

首先对SQL注入漏洞,我们SINE安全建议大家对图片的路径地址写入到数据库这里,进行安全过滤,对于一些特殊字符,SQL注入攻击代码像select,等数据库查询的字符进行限制,有程序员的话,可以对路径进行预编译,动态生成文件名,对ID等值只允许输入数字等的安全部署,如果对程序代码不是太懂的话,也可以找专业的网站安全公司来解决,国内像SINESAFE,启**辰,绿盟都是比较专业的,剩下的就是任意文件上传功能的漏洞修复,修复办法是对上传的文件名,以及文件格式做白名单限制,只允许上传jpg.png,gif,等图片文件,对上传的目录做安全设置,不允许PHP等脚本文件的执行,至此客户网站数据被篡改的原因找到,经过渗透测试才发现漏洞的根源,不模拟攻击者的手段.是永远不会找到问题的原因的.也希望借此分享,能帮助到更多遇到网站被攻击情况的客户.

13280888826

词条
词条说明
金融平台网站服务器安全防护7个标准方法
从总体来说，新标准规定针对服务器端安全防护的基本建设须要更为专业化与系统化，在解决不法攻击时，可对其“行为举动开展检测，对其终端设备特性（比如，终端设备标志、硬件软件特性等）、互联网特性（比如，MAC、IP、无线网标志等）、顾客特性（比如，帐户标志、手机号等）、行为举动特性、物理具体位置等信息内容开展辨别、标识和相关性分析”，还可以与“危害性监测系统建立联动机制，即时选用禁封等安全防护对策”。在关
APP渗透测试与漏洞检测都包含哪些内容?
目前越来越多的APP遭受到黑客攻击，包括数据库被篡改，APP里的用户数据被泄露，手机号以及姓名，密码，资料都被盗取，很多平台的APP的银行卡，充值通道，聚合支付接口也都被黑客修改过，导致APP运营者经济损失太大，很多通过老客户的介绍找到我们SINE安全公司，寻求安全防护，防止攻击，根据我们SINESAFE近十年的网络安全从业来分析，大部分网站以及APP被攻击的原因都是网站代码存在漏洞以及服务器系统
有哪些措施可以**网站安全
为了**网站的安全，可以采取以下措施：安全意识教育：加强对企业员工的安全意识教育，使员工了解安全风险，掌握基本的安全知识，以便更好地防范安全漏洞。安全策略制定：制定切实可行的网络安全策略，包括密码强度要求、安全访问控制、数据备份等，确保网站的基本安全。安全软件使用：选择安全软件，如防病毒软件、防火墙、安全加密等，加强对网站的保护，防止攻击和病毒感染。漏洞扫描：定期进行漏洞扫描，及时发现网站存在的安
网站安全防护措施怎么做有效？
网站安全防护措施怎么做有效？一：访问控制：对用户访问网络资源的权限进行严格的认证和控制。例如，进行用户身份认证，对口令加密、更新和鉴别，设置用户访问目录和文件的权限，控制网络设备配置的权限，等等。数据加密防护：加密是防护数据安全的重要手段。二：网络隔离防护：网络隔离有两种方式，一种是采用隔离卡来实现的，一种是采用网络安全隔离网闸实现的。三：其他措施：其他措施包括信息过滤、容错、数据镜像、数据备份和